Palo Alto 警示 PAN-OS 漏洞被主动利用

Palo Alto Networks 透露，已观察到一个最近披露的 PAN-OS 漏洞被“active exploitation”，未知威胁行为者正借此获得对 GlobalProtect portals 的未经授权访问。

相关漏洞为 CVE-2026-0257（CVSS 评分：7.8），这是一个影响 PAN-OS 软件 portal 和 gateway 组件的 authentication bypass 漏洞，攻击者可利用它建立 VPN connections。

据这家网络安全公司称，该安全缺陷可被恶意行为者用来绕过安全控制并发起 VPN 连接。

该漏洞已在野外被有限攻击中利用，最初活动观察到的时间为 2026 年 5 月 17 日。目前尚不清楚利用活动背后是谁。

Palo Alto Networks 表示：“截至目前，尚未识别到任何 post-access 行为或 lateral movement。只有一小部分被探测设备实际上建立了 VPN sessions，因此产生了 gateway-connected events。”

该公司还发布了与此次活动相关的 indicators of compromise (IoCs) -

IP addresses - 23.128.228[.]6 104.207.144[.]154 146.19.216[.]119 146.19.216[.]120 146.19.216[.]125 179.43.172[.]213 185.195.232[.]139 198.12.106[.]60 202.144.192[.]47

23.128.228[.]6

104.207.144[.]154

146.19.216[.]119

146.19.216[.]120

146.19.216[.]125

179.43.172[.]213

185.195.232[.]139

198.12.106[.]60

202.144.192[.]47

Host Names and MAC Addresses - aa:bb:cc:dd:ee:ff 00:11:22:33:44:55 WINDOWS-LAPTOP-001 DESKTOP-GP01 GP-CLIENT

aa:bb:cc:dd:ee:ff

00:11:22:33:44:55

WINDOWS-LAPTOP-001

DESKTOP-GP01

GP-CLIENT

Palo Alto Networks 还敦促客户在 GlobalProtect logs 中搜索符合以下来自 proof-of-concept (PoC) exploit 的硬编码 client configuration values 的成功 gateway-connected events -

endpoint_os_version : Microsoft Windows 10 Pro 64-bit

source_user_info.domain : empty

上个月月底，美国网络安全与基础设施安全局（CSIA）已将 CVE-2026-0257 加入其 Known Exploited Vulnerabilities (KEV) catalog，并要求 Federal Civilian Executive Branch (FCEB) agencies 在 2026 年 6 月 1 日前缓解该漏洞。